Questão de Sistemas Operacionais — Geral — VUNESP 2025

Pods Security Standards no Kubernetes

Gabarito: letra B. A política Baseline é a que a documentação oficial do Kubernetes define como direcionada a desenvolvedores e operadores de aplicações não críticas, permitindo a configuração padrão mínima de segurança sem restringir demais a operação. As três políticas definidas pelos Pod Security Standards são Privileged, Baseline e Restricted — e é exatamente essa tríade que a questão cobra.

Os Pod Security Standards (PSS) são um conjunto de políticas de segurança de pods criado pelo Kubernetes para padronizar a aplicação de controles de segurança em clusters. Eles substituíram, na prática, o antigo PodSecurityPolicy (PSP), que foi depreciado e removido. A ideia central é oferecer três níveis de restrição que podem ser aplicados a namespaces ou clusters inteiros, permitindo que administradores escolham o equilíbrio ideal entre segurança e flexibilidade operacional.

A política Privileged é a mais permissiva: ela não impõe restrições adicionais e é destinada a workloads que precisam de acesso total ao host, como agentes de monitoramento, drivers de rede ou ferramentas de segurança. Já a política Restricted é a mais rígida, seguindo as melhores práticas de endurecimento (hardening) de pods, e é voltada para aplicações críticas que exigem o máximo de isolamento. Entre as duas, a Baseline representa o meio-termo: aplica restrições mínimas para evitar vulnerabilidades conhecidas de escalonamento de privilégios, mas sem impedir a maioria dos workloads comuns. É por isso que a documentação a descreve como adequada para aplicações não críticas operadas por desenvolvedores e operadores que precisam de agilidade.

Na prática, a escolha da política depende do perfil da aplicação. Um banco de dados crítico, por exemplo, provavelmente exigirá a política Restricted, enquanto um serviço web simples e não crítico pode operar confortavelmente sob a Baseline. A política Privileged, por sua vez, deve ser reservada apenas para componentes de infraestrutura que realmente precisam de privilégios elevados. A banca explora exatamente essa classificação: o candidato que conhece apenas os nomes das políticas, mas não o público-alvo de cada uma, pode confundir Baseline com Restricted ou inventar nomes como "Regular" ou "Basic", que não existem na documentação oficial.

Guarde a tríade Privileged → Baseline → Restricted como um espectro crescente de restrição: é nessa gradação que a questão se resolve, e é também o critério que separa as alternativas corretas das incorretas.

Alternativa A — ❌ Incorreta

Privileged é a política mais permissiva, destinada a workloads que exigem acesso total ao host, como agentes de monitoramento e drivers. Ela não é direcionada a aplicações não críticas — pelo contrário, é reservada para casos especiais que precisam de privilégios elevados.

Alternativa B — ✅ Correta ⟵ GABARITO

A política Baseline é exatamente a que a documentação do Kubernetes descreve como direcionada a desenvolvedores e operadores de aplicações não críticas. Ela aplica restrições mínimas para mitigar vulnerabilidades conhecidas, mas permite a operação normal da maioria dos workloads.

Alternativa C — ❌ Incorreta

Restricted é a política mais rígida, voltada para aplicações críticas que exigem o máximo de isolamento e endurecimento. Ela impõe restrições severas que podem inviabilizar workloads comuns, sendo o oposto do que o enunciado descreve.

Alternativa D — ❌ Incorreta

Regular não é uma das três políticas definidas pelos Pod Security Standards. A documentação oficial define apenas Privileged, Baseline e Restricted — qualquer outro nome é um distrator inventado pela banca.

Alternativa E — ❌ Incorreta

Basic também não existe nos Pod Security Standards. Assim como "Regular", é um nome fictício criado para confundir o candidato que não domina a nomenclatura oficial das políticas.

Gabarito: letra B